§ 26 Datenübermittlung an Behörden anderer Staaten und an über- oder zwischenstaatliche Stellen
An Behörden von Staaten, die nach § 1 Absatz 6 Satz 2 des Bundesdatenschutzgesetzes als Drittstaaten gelten, und an über- oder zwischenstaatliche Stellen können personenbezogene Daten übermittelt werden. Bei der Übermittlung sind Kapitel V der Verordnung (EU) 2016/679 und § 14 Absatz 1 Nummer 1 bis 5 und Absatz 2 anzuwenden. Für eine Übermittlung an Behörden von Mitgliedstaaten der Europäischen Union und von Staaten im Sinne des § 1 Absatz 6 Satz 1 des Bundesdatenschutzgesetzes findet auch § 15 entsprechende Anwendung. Für die Datenübermittlung ist das Einvernehmen mit der Stelle herzustellen, die die Daten an die Registerbehörde übermittelt hat. Die Übermittlung von Daten von Unionsbürgern, bei denen eine Feststellung des Nichtbestehens oder des Verlusts des Freizügigkeitsrechts nicht vorliegt, ist nur zur Durchführung ausländer- oder asylrechtlicher Aufgaben zulässig. Die Übermittlung von Dokumenten nach § 6 Absatz 5 an Behörden und Stellen im Sinne des Satz 1 ist unzulässig. Im Falle einer Übermittlung der Dokumente nach § 6 Absatz 5 an Behörden nach Satz 3 ist die empfangende Stelle darauf hinzuweisen, dass die Dokumente nur zu dem Zweck verarbeitet werden dürfen, zu dem sie übermittelt worden sind und eine Weiterübermittlung der Dokumente an Behörden anderer Staaten nicht erfolgen darf.
§ 26a Datenübermittlung an die Europäische Kommission nach Artikel 27 der Richtlinie 2001/55/EG
An die Europäische Kommission werden die Daten, die dem Umfang nach den Daten nach § 91a des Aufenthaltsgesetzes entsprechen, zur Aufgabenerfüllung nach Artikel 27 der Richtline 2001/55/EG übermittelt. § 26 Satz 4 ist nicht anzuwenden.
§ 27 Datenübermittlung an sonstige nichtöffentliche Stellen
(1) An sonstige nichtöffentliche Stellen können zu Ausländern, die keine freizügigkeitsberechtigten Unionsbürger sind, auf Ersuchen Daten über die aktenführende Ausländerbehörde, zum Zuzug oder Fortzug oder über das Sterbedatum der betroffenen Person übermittelt werden, wenn die Nachfrage bei der zuletzt zuständigen Meldebehörde erfolglos geblieben ist und ein rechtliches Interesse an der Kenntnis des Aufenthaltsortes nachgewiesen wird. Der Nachweis kann nur erbracht werden durch die Vorlage
1. eines nach deutschem Recht gültigen Vollstreckungstitels,
2. einer Aufforderung eines deutschen Gerichts, Daten aus dem Register nachzuweisen,
3. einer Bescheinigung einer deutschen Behörde, aus der sich ergibt, daß die Daten aus dem Register zur Durchführung eines dort anhängigen Verfahrens erforderlich sind.
§ 25 Abs. 2 und 3 gilt entsprechend.
(2) Vor der Datenübermittlung ist der betroffenen Person Gelegenheit zur Stellungnahme zu geben, es sei denn, die Anhörung liefe dem Zweck der Übermittlung zuwider. Werden die Daten ohne Anhörung der betroffenen Person übermittelt, sind die wesentlichen Gründe dafür schriftlich oder elektronisch niederzulegen. Willigt die betroffene Person nicht ein, ist die Datenübermittlung unzulässig. Die Aufzeichnungen sind für die datenschutzrechtliche Kontrolle bestimmt. Sie müssen den Zweck der Datenübermittlung und die Dritten, an die Daten übermittelt worden sind, eindeutig erkennen lassen. Die Registerbehörde hat sie gesondert aufzubewahren, durch geeignete Vorkehrungen gegen unberechtigten Zugriff zu sichern und nach Fristablauf zu löschen, sofern sie nicht für ein bereits eingeleitetes Kontrollverfahren benötigt werden.
(3) Eine Weiterübermittlung der Daten durch die in Absatz 1 Satz 1 bezeichneten Stellen ist unzulässig.
(4) (weggefallen)
Folgende Daten werden gespeichert:
1. das Geschäftszeichen der Registerbehörde (Visadatei-Nummer),
1a. das Visumaktenzeichen der Registerbehörde,
2. die Auslandsvertretung oder das Bundesamt für Auswärtige Angelegenheiten; bei einem Antrag auf Erteilung eines Ausnahmevisums die mit der polizeilichen Kontrolle des grenzüberschreitenden Verkehrs betraute Behörde,
3. die Grundpersonalien und die weiteren Personalien, die für die Erteilung eines Visums erforderlich sind,
4. das Lichtbild,
4a. bei Erteilung eines nationalen Visums nach § 6 Absatz 3 des Aufenthaltsgesetzes die den Antrag auf dessen Erteilung begründenden Unterlagen zum Zweck der Prüfung der Erteilung eines Aufenthaltstitels im Inland,
5. das Datum der Datenübermittlung,
6. die Entscheidung über den Antrag, die Rücknahme des Antrags, die Erledigung des Antrags auf andere Weise sowie die Rücknahme, die Annullierung, die Aufhebung und den Widerruf des Visums,
7. das Datum der Entscheidung und das Datum der Übermittlung der Entscheidung,
8. Art, Rechtsgrundlage, Nummer und Geltungsdauer des Visums,
9. die im Visaverfahren beteiligte Ausländerbehörde,
10. bei Vorlage ge- oder verfälschter Dokumente im Visaverfahren die Bezeichnung der vorgelegten ge- oder verfälschten Dokumente (Art und Nummer des Dokuments, im Dokument enthaltene Angaben über Aussteller, Ausstellungsdatum, Gültigkeitsdauer),
11. Entscheidungen der Bundesagentur für Arbeit über die Zustimmung zur Beschäftigung.
(1) Die deutschen Auslandsvertretungen, das Bundesamt für Auswärtige Angelegenheiten, die mit der polizeilichen Kontrolle des grenzüberschreitenden Verkehrs betrauten Behörden und die Ausländerbehörden sind zur Übermittlung der Daten nach § 29 Nummer 2 bis 11 an die Registerbehörde verpflichtet.
(2) Die in Absatz 1 bezeichneten Stellen dürfen die Daten im Wege der Direkteingabe in das Register übermitteln. § 7 gilt entsprechend.
§ 31 Allgemeine Vorschriften für die Datenübermittlung
(1) Das Ersuchen um Übermittlung von Daten muss, soweit vorhanden, die Visadatei-Nummer, das Visumaktenzeichen oder die Nummer des Visums, anderenfalls alle verfügbaren Grundpersonalien der betroffenen Person enthalten. Sofern die in Satz 1 genannten Angaben nicht vorhanden sind, kann das Ersuchen auch nur mit dem Lichtbild oder der Seriennummer eines Ausweisdokuments gestellt werden. Stimmen die im Übermittlungsersuchen bezeichneten Personalien mit den gespeicherten Daten nicht überein, ist die Datenübermittlung unzulässig, es sei denn, Zweifel an der Identität bestehen nicht. Kann die Registerbehörde die Identität nicht eindeutig feststellen, sind zur Identitätsprüfung und -feststellung die Daten ähnlicher Personen nach § 29 zu übermitteln. Die ersuchende Stelle hat alle Daten, die nicht zur betroffenen Person gehören, unverzüglich zu löschen und entsprechende Aufzeichnungen zu vernichten.
(2) Die Visadatei-Nummer darf im Verkehr mit dem Register benutzt werden. Darüber hinaus steht sie nur für die Datenübermittlungen zwischen dem Bundesamt für Migration und Flüchtlinge, den Auslandsvertretungen und dem Bundesamt für Auswärtige Angelegenheiten sowie Ausländerbehörden im Rahmen der Aufenthaltsgewährungen zum vorübergehenden Schutz nach § 24 des Aufenthaltsgesetzes zur Verfügung.
(3) Im übrigen gelten die §§ 8, 9, 10 Absatz 1, 3a und 6 sowie die §§ 11, 12 und 13 entsprechend.
(1) Auf Ersuchen werden die Daten an folgende öffentliche Stellen zur Erfüllung ihrer Aufgaben übermittelt:
1. die in der Rechtsverordnung nach § 93 Absatz 1 des Bundespolizeigesetzes bestimmte Bundespolizeibehörde und die mit grenzpolizeilichen Aufgaben betrauten Stellen,
2. das Bundesamt für Migration und Flüchtlinge,
3. das Bundeskriminalamt,
4. die Landeskriminalämter,
5. sonstige Polizeivollzugsbehörden des Bundes und der Länder,
6. die Ausländerbehörden und Aufnahmeeinrichtungen oder Stellen nach § 88 Absatz 3 des Asylgesetzes,
7. die Träger der Sozialhilfe, die Bundesagentur für Arbeit und die für die Durchführung der Grundsicherung für Arbeitsuchende zuständigen Stellen, die für die Durchführung des Asylbewerberleistungsgesetzes zuständigen Stellen und die Jugendämter,
8. die in § 20 Abs. 1 bezeichneten öffentlichen Stellen,
9. die Gerichte und Staatsanwaltschaften,
10. die Bundesagentur für Arbeit und die Behörden der Zollverwaltung,
11. die obersten Bundes- und Landesbehörden, die mit der Durchführung ausländer-, asyl- und passrechtlicher Vorschriften als eigener Aufgabe betraut sind, soweit nicht § 21 anzuwenden ist,
12. die Zentralstelle für Finanztransaktionsuntersuchungen,
13. die Zentralstelle für Sanktionsdurchsetzung,
14. die deutschen Auslandsvertretungen und das Bundesamt für Auswärtige Angelegenheiten.
(2) § 21 Abs. 1 bis 3 und die Übermittlungsregelungen dieses Gesetzes gelten entsprechend.
(3) Eine Datenübermittlung an nichtöffentliche Stellen ist unzulässig.
Die in § 32 bezeichneten Stellen können zum Abruf von Daten im automatisierten Verfahren zugelassen werden. § 22 Absatz 1 Satz 2 bis 4 und Absatz 2 bis 4 gilt entsprechend.
§ 34 Auskunft an die betroffene Person; Datenschutzcockpit
(1) In dem Antrag auf Auskunft nach Artikel 15 der Verordnung (EU) 2016/679 muss die betroffene Person ihre Grundpersonalien angeben.
(2) Das Recht auf Auskunft der betroffenen Person nach Artikel 15 der Verordnung (EU) 2016/679 besteht dann nicht, soweit
1. die Auskunft die ordnungsgemäße Erfüllung der Aufgaben gefährden würde, die in der Zuständigkeit der öffentlichen Stelle liegen, die die Daten an das Register übermittelt hat,
2. die Auskunft die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde oder
3. die Daten oder die Tatsache ihrer Speicherung nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheimgehalten werden müssen
und deswegen das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muß.
(3) Sind die Daten der betroffenen Person von einer der in § 20 Abs. 1 bezeichneten öffentlichen Stellen, den Polizeivollzugsbehörden oder den Staatsanwaltschaften an das Register übermittelt worden, ist die Auskunft über die Herkunft der Daten nur mit deren Einwilligung zulässig. Dasselbe gilt für die Auskunft über den Empfänger oder Kategorien von Empfängern der Daten, soweit sie an die in Satz 1 bezeichneten Stellen oder an Gerichte übermittelt worden sind. Die Einwilligung darf nur unter den in Absatz 2 bezeichneten Voraussetzungen versagt werden. Die in § 20 Abs. 1 bezeichneten öffentlichen Stellen können ihre Einwilligung darüber hinaus unter den in § 15 Abs. 2 Nr. 2 des Bundesverfassungsschutzgesetzes, auch in Verbindung mit § 9 des BND-Gesetzes und § 9 des MAD-Gesetzes, bezeichneten Voraussetzungen versagen.
(4) Gegenüber der betroffenen Person bedarf die Ablehnung der Auskunftserteilung keiner Begründung, wenn dadurch der mit der Ablehnung verfolgte Zweck gefährdet würde. Die Begründung ist in diesem Fall zum Zweck einer datenschutzrechtlichen Kontrolle schriftlich oder elektronisch niederzulegen und fünf Jahre aufzubewahren. Sie ist durch geeignete Maßnahmen gegen unberechtigten Zugriff zu sichern. Die betroffene Person ist darauf hinzuweisen, dass sie sich an die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit wenden kann.
(5) Wird der betroffenen Person keine Auskunft erteilt, ist sie auf sein oder ihr Verlangen die oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu erteilen, soweit nicht die Daten der betroffenen Person von einer der in § 20 Abs. 1 bezeichneten öffentlichen Stelle übermittelt worden sind und die jeweils zuständige oberste Bundesbehörde im Einzelfall feststellt, daß dadurch die Sicherheit des Bundes oder eines Landes gefährdet würde. Die Mitteilung der oder des Bundesbeauftragten an die betroffene Person darf keine Rückschlüsse auf den Erkenntnisstand der speichernden Stelle zulassen, sofern diese nicht einer weitergehenden Auskunft zustimmt.
(6) Die Registerbehörde ist verpflichtet, sämtliche Datenübermittlungen nach diesem Gesetz an das Register und aus dem Register gemäß den §§ 9, 13 zu protokollieren und der betroffenen Person digital über eine zentrale Stelle transparent zu machen (AZR-Datenschutzcockpit). Dazu stellt die Registerbehörde eine IT-Komponente zur Verfügung, mit der sich natürliche Personen Auskünfte zu den sie betreffenden Datenübermittlungen nach diesem Gesetz von öffentlichen Stellen an das Register und vom Register an öffentliche Stellen anzeigen lassen können. Diese Daten werden im AZR-Datenschutzcockpit nur für die Dauer des jeweiligen Nutzungsvorgangs gespeichert; nach Beendigung des Nutzungsvorgangs sind sie unverzüglich zu löschen. Die Absätze 2 bis 5 gelten entsprechend. § 10 des Onlinezugangsgesetzes bleibt unberührt für Datenübermittlungen nach dem Identifikationsnummerngesetz. Sobald das Bundesministerium des Innern im Bundesanzeiger bekannt gibt, dass die technischen und rechtlichen Voraussetzungen für eine Anzeige der Datenübermittlungen nach diesem Gesetz im Datenschutzcockpit nach § 10 des Onlinezugangsgesetzes vorliegen, sollen das Datenschutzcockpit nach dem Onlinezugangsgesetz und das Datenschutzcockpit nach diesem Gesetz in der Weise zusammengeführt werden, dass das AZR-Datenschutzcockpit im Datenschutzcockpit nach dem Onlinezugangsgesetz aufgeht. § 9 Absatz 2 und 3 des Identifikationsnummerngesetzes gilt ab diesem Zeitpunkt entsprechend. Das Nähere zum Zugang, zu den technischen Verfahren, den technischen Formaten der Datensätze und den Übertragungswegen legt das Bundesministerium des Innern durch Rechtsverordnung fest.
(1) Die Kontrolle der Durchführung des Datenschutzes obliegt nach § 9 Absatz 1 des Bundesdatenschutzgesetzes der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Die von den Ländern in das Ausländerzentralregister eingegebenen Datensätze können auch von den jeweiligen Landesbeauftragten für den Datenschutz im Zusammenhang mit der Wahrnehmung ihrer Prüfungsaufgaben in den Ländern kontrolliert werden, soweit die Länder nach § 8 Absatz 1 verantwortlich sind. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit arbeitet insoweit mit den Landesbeauftragten für den Datenschutz zusammen.
(2) Die in Absatz 1 genannten Stellen sind im Rahmen ihrer jeweiligen Zuständigkeiten verpflichtet, regelmäßig die Durchführung des Datenschutzes zu kontrollieren.
Die Registerbehörde hat die nach den §§ 3 bis 5 und 29 gespeicherten Daten nach Artikel 5 Absatz 1 Buchstabe d der Verordnung (EU) 2016/679 zu berichtigen, wenn sie unrichtig sind.
(1) Die Registerbehörde hat Daten spätestens mit Fristablauf zu löschen. Bei der Datenübermittlung teilt die übermittelnde Stelle für sie geltende Löschungsfristen mit. Die Registerbehörde hat die jeweils kürzere Frist zu beachten. Eine Löschung hat unverzüglich zu erfolgen, wenn die Speicherung der Daten unzulässig war. Eine Löschung erfolgt ferner, wenn die Registerbehörde eine Mitteilung nach § 8 Absatz 1 Satz 2 Nummer 2 erhält.
(2) Der Datensatz eines Ausländers ist unverzüglich zu löschen, wenn die betroffene Person die deutsche Staatsangehörigkeit erworben hat oder die Registerbehörde nach der Speicherung der Daten der betroffenen Person erfährt, dass sie Deutscher im Sinne des Artikels 116 Absatz 1 des Grundgesetzes ist. Der Datensatz eines Ausländers nach § 2 Absatz 2a ist unverzüglich zu löschen, wenn seine Aufnahme aus dem Ausland abgelehnt wurde.
(3) Sobald die Ausländerbehörden Kenntnis vom Erwerb der deutschen Staatsangehörigkeit oder von der Feststellung der Eigenschaft als Deutscher im Sinne des Artikels 116 des Grundgesetzes eines Ausländers erhalten haben, teilen sie dies der Registerbehörde mit.
(1) Ergänzend zu Artikel 18 der Verordnung (EU) 2016/679 schränkt die Registerbehörde die Verarbeitung personenbezogener Daten ein, wenn die Daten nur zu Zwecken der Datensicherung oder Datenschutzkontrolle gespeichert sind.
(2) In der Verarbeitung eingeschränkte Daten sind mit einem Sperrvermerk zu versehen. Sie dürfen außer zur Prüfung der Richtigkeit ohne Einwilligung der betroffenen Person nicht verarbeitet werden. In der Verarbeitung eingeschränkte Daten dürfen unter Hinweis auf den Sperrvermerk außerdem verwendet werden, soweit dies für Zwecke der Strafverfolgung erforderlich ist.
(1) Die Registerbehörde hat im Fall einer Berichtigung, Löschung oder Einschränkung der Verarbeitung nach den §§ 35 bis 37 den Empfänger der betreffenden Daten zu unterrichten, wenn dies zur Wahrung überwiegender schutzwürdiger Interessen der betroffenen Person erforderlich ist. Sie hat auch diejenige Stelle zu unterrichten, die ihr diese Daten übermittelt hat. Satz 2 gilt nicht, wenn die Berichtigung, Löschung oder Einschränkung der Verarbeitung von der übermittelnden Stelle selbst vorgenommen worden ist.
(2) Absatz 1 gilt nicht für Löschungen bei Fristablauf.
Auf Aufsichtsbehörden sind die für die beaufsichtigten Behörden jeweils geltenden Vorschriften dieses Gesetzes entsprechend anzuwenden, soweit dies für die Ausübung ihrer Aufsichtsfunktion erforderlich ist. Ein Abruf von Daten im automatisierten Verfahren ist unzulässig.
Das Bundesministerium des Innern bestimmt mit Zustimmung des Bundesrates durch Rechtsverordnung
1. Näheres zu den Daten, die
a) von der Registerbehörde gespeichert werden,
b) an und durch die Registerbehörde übermittelt oder innerhalb der Registerbehörde weitergegeben werden;
2. Näheres zu den Voraussetzungen und zum Verfahren
a) der Übermittlung von Daten an und durch die Registerbehörde, insbesondere der Direkteingabe von Daten, des Datenabrufs und der Datenübermittlung im automatisierten Verfahren, sowie der Weitergabe innerhalb der Registerbehörde,
b) der Identitätsprüfung nach § 10 Abs. 3, § 21 Abs. 3 und § 31 Abs. 1,
c) bei Gruppenauskünften,
d) der Übermittlungssperren, der Einschränkung der Verarbeitung und der Auskunft an die betroffene Person,
e) bei der Fertigung, Aufbewahrung, Verwendung, Löschung oder Vernichtung der im Gesetz vorgesehenen Aufzeichnungen,
f) bei Dokumenten nach § 6 Absatz 5;
3. Näheres zur Verantwortung für den Registerinhalt und die Datenpflege;
4. die im Hinblick auf die Zweckbindung angemessenen Fristen für die Löschung der im Ausländerzentralregister gespeicherten Daten;
5. Regelungen über die elektronische Registerführung und die elektronische Datenübermittlung zwischen der Registerbehörde und den mit der Durchführung ausländer- und asylrechtlicher Vorschriften beauftragten Behörden und anderen öffentlichen Stellen, die sich auf die technischen Grundsätze des Aufbaus der verwendeten Standards und das Verfahren der Datenübermittlung beziehen.
(1) Die Bundesregierung kann mit Zustimmung des Bundesrates allgemeine Verwaltungsvorschriften zu diesem Gesetz und zu den auf Grund dieses Gesetzes erlassenen Rechtsverordnungen erlassen. Bei bundeseigener Verwaltung bedürfen die allgemeinen Verwaltungsvorschriften nicht der Zustimmung des Bundesrates.
(2) Das Bundesministerium des Innern benennt in einer Dienstvorschrift die Daten, die von der Registerbehörde nach § 20 Abs. 1 übermittelt werden. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist vor Erlaß der Dienstvorschrift anzuhören.
(1) Wer unbefugt personenbezogene Daten, die nicht offenkundig sind,
1. speichert, verändert oder übermittelt,
2. zum Abruf mittels automatisiertem Verfahren bereithält oder
3. abruft oder sich oder einem anderen aus Dateien verschafft,
wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer
1. die Übermittlung von personenbezogenen Daten, die nicht offenkundig sind, durch unrichtige Angaben erschleicht oder
2. personenbezogene Daten entgegen § 25 Abs. 3 Satz 1, auch in Verbindung mit § 27 Abs. 1 Satz 3, verwendet, indem er sie innerhalb der nichtöffentlichen Stelle weitergibt.
(3) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
(4) (weggefallen)
Daten, die bei der Erteilung eines Visums nach der bis zum 31. Oktober 2026 geltenden Fassung des § 29 Absatz 1 Nummer 10 im Ausländerzentralregister gespeichert worden sind, können bis zu ihrer Löschung nach der bis zum 31. Oktober 2026 geltenden Fassung des § 19 der AZRG-Durchführungsverordnung im Ausländerzentralregister verarbeitet werden.
Von den in diesem Gesetz getroffenen Regelungen des Verwaltungsverfahrens der Länder kann mit Ausnahme von § 5 Abs. 4 Satz 1, § 10 Abs. 3 Satz 3 und § 11 Abs. 1 nicht durch Landesrecht abgewichen werden.